მთავარი დასკვნა
აკონტროლეთ განმეორებადი წარუმატებლობები ერთ ანგარიშზე და მცირე მოცულობის მცდელობები მრავალ ანგარიშზე. პაროლები ჟურნალში არ ჩაწეროთ. MFA, შესაბამისი სიხშირის ლიმიტები და დაცული აღდგენა რეაგირების გეგმასთან შეაერთეთ.
განასხვავეთ შეტევის მეთოდები
პაროლის მიზნობრივი გამოცნობა სრული გადარჩევით ანგარიშზე პაროლის მრავალ კანდიდატს ცდის; ლექსიკონური და ჰიბრიდული ვარიანტები სავარაუდო პაროლებითა და კომბინაციებით იწყება. პაროლების შესხურება ერთ ან რამდენიმე გავრცელებულ პაროლს მრავალ ანგარიშზე ცდის, ჩვეულებრივ თითო ანგარიშზე მცირე რაოდენობის მცდელობით. მოპარული ავტორიზაციის წყვილების გამოყენება სხვა სერვისებზე ხელახლა ცდის მომხმარებლის სახელისა და პაროლის წყვილებს, რომლებიც წინა გაჟონვებში გამჟღავნდა. ეს მეთოდები განსხვავდება და შეიძლება განსხვავებული სიგნალები წარმოქმნას.
პაროლის გამოცნობა · სრული გადარჩევა
მრავალი ვარიანტის ცდა ერთ ანგარიშზე; წარუმატებელი შესვლების რაოდენობა შეიძლება სწრაფად გაიზარდოს.
პაროლების შესხურება ანგარიშებზე
ერთი სავარაუდო პაროლი მრავალ ანგარიშზე იცდება; ცალკე ანგარიშის ზღვრებმა შეიძლება ნიმუში გამოტოვოს.
მოპარული ავტორიზაციის წყვილების გამოყენება
გაჟონილი შესვლის წყვილები სხვა სერვისებზე ხელახლა გამოიყენება; უნიკალური პაროლები და MFA რისკს ამცირებს.
ეძებეთ ნიმუშები შესვლის ჟურნალებში
მხოლოდ ერთი IP‑ის რაოდენობებს ნუ დაეყრდნობით: განაწილებული მცდელობები შეიძლება მრავალი მისამართით, პროქსით ან ბოტნეტით მოდიოდეს. ერთმანეთთან დააკავშირეთ სხვადასხვა ანგარიშის წარუმატებელი შესვლები, ახალი ან მოულოდნელი ადგილებიდან მცდელობები, ჩაკეტვები, უარყოფილი MFA‑მოთხოვნები და წარუმატებლობების შემდეგ წარმატებული შესვლა. გაითვალისწინეთ მუშაობის ჩვეულებრივი ნიმუშები და VPN‑ის გამოყენება; მხოლოდ მდებარეობა კომპრომეტირებას არ ამტკიცებს.
შესვლის დაცვა ფენებად მოაწყვეთ
გამოიყენეთ გრძელი უნიკალური პაროლები, პაროლების მენეჯერი და ფიშინგისადმი მდგრადი MFA. შესვლის წერტილებზე გამოიყენეთ სიხშირის ლიმიტები და ადაპტაციური დაყოვნებები, თუმცა გაითვალისწინეთ, რომ ანგარიშის მკაცრი ჩაკეტვა შეიძლება სერვისის უარყოფისთვის ბოროტად გამოიყენონ. საჭიროებისამებრ დაამატეთ CAPTCHA ან ბოტების კონტროლი, მაგრამ მხოლოდ მათ ნუ დაეყრდნობით. ასწავლეთ მომხმარებლებს მოულოდნელი MFA‑მოთხოვნების უარყოფა და შეტყობინება.
საეჭვო ანგარიში უსაფრთხოდ აღადგინეთ
კომპრომეტირების ეჭვისას პაროლი სანდო, სუფთა მოწყობილობიდან შეცვალეთ; გააუქმეთ აქტიური სესიები და ტოკენები და შეამოწმეთ აღდგენის ელფოსტა და ტელეფონი, გადამისამართების წესები, აპლიკაციების უფლებები და MFA‑რეგისტრაცია. დამტკიცებული ინციდენტის პროცესით დროებით შეზღუდეთ ანგარიში, შეინახეთ ჟურნალები და შეამოწმეთ, გამოიყენებოდა თუ არა იგივე პაროლი სხვა დაზარალებულ ანგარიშებზე. პაროლის შეცვლა კომპრომეტირებულ მოწყობილობას არ ასუფთავებს და მოქმედ მავნე პროგრამას არ შლის.
გამოავლინეთ პრივილეგიების გაზრდა და სხვა ანგარიშებზე წვდომა
საწყისი წვდომა, პრივილეგიების გაზრდა და გვერდითი გადაადგილება სხვადასხვა მიზნებია და ყოველთვის ფიქსირებულ რიგს არ მიჰყვება. თავდამსხმელმა შეიძლება უკვე პრივილეგირებული ანგარიში დააკომპრომეტიროს ან სხვა სისტემაზე მოხვედრის შემდეგ დამატებითი უფლებები მოიპოვოს.
ვერტიკალური გაზრდა
სტანდარტული ანგარიში ადმინისტრატორის ან root‑უფლებებს იღებს. დააყენეთ ოპერაციული სისტემის შესწორებები და განიხილეთ ფაილების, დირექტორიებისა და ამოცანების უფლებები იმ სერვისებისთვის, რომლებიც გაზრდილი პრივილეგიებით მუშაობს.
წვდომის კონტროლის ჰორიზონტალური დარღვევა
მომხმარებელი სხვა მომხმარებლის შეკვეთას, დოკუმენტს ან პროფილს როლის შეუცვლელად აღწევს. სერვერმა ყოველ მოთხოვნაზე უნდა შეამოწმოს ობიექტის მფლობელობა და ავტორიზაცია.
ჟურნალისა და ბოლო მოწყობილობის მტკიცებულებები
გამოიკვლიეთ ადმინისტრატორთა ჯგუფის ან ACL‑ის მოულოდნელი ცვლილებები, ახალი სერვისები და გეგმური ამოცანები, გათიშული უსაფრთხოების აგენტები და პრივილეგირებულ პროცესებში ჩარევა. SIEM‑მოვლენები და EDR‑პროცესის კონტექსტი დამტკიცებულ ცვლილებებს შეადარეთ.